Bezpieczeństwo informacji: coraz większe wyzwanie dla współczesnej firmy

Menedżerowie, świadomi wagi informacji w dzisiejszym biznesie, deklarują, że jej bezpieczeństwo jest dla nich priorytetem. Wyniki badań oraz doniesienia na temat incydentów naruszenia bezpieczeństwa informacji wskazują jednak, że problem wciąż narasta.

Każdy menedżer wie, że utrata i upublicznienie tajemnic handlowych firmy może prowadzić do jej upadku. W świadomości decydentów powinno być zatem zakorzenione przeświadczenie, że najważniejsze zasoby informacyjne firmy muszą być należycie chronione.

Ale jeżeli świadomość bezpieczeństwa jest tak powszechna, to dlaczego na pierwsze strony gazet trafiają informacje o wielomilionowych stratach dużych międzynarodowych firm, wynikających z utraty istotnych danych? Jak do powszechnej świadomości bezpieczeństwa ma się fakt, że w marcu 2008 roku dane personalne około 5000 pracowników MTV, obejmujące ich nazwiska, daty urodzenia i wysokość wynagrodzeń, zostały przechwycone za pośrednictwem Internetu przez osoby z zewnątrz? Jak to możliwe, że Citigroup, największy bank na świecie, utracił dane i historie transakcji prawie 4 milionów swoich klientów, ponieważ firma kurierska zagubiła kasety do streamera (pamięć zewnętrzna), służącego do archiwizacji danych? O tym, jak łatwo utracić wrażliwe dane, przekonała się też amerykańska firma TJX, zajmująca się detaliczną sprzedażą odzieży. Hakerzy wykradli spółce numery kart kredytowych ponad 96 milionów klientów. Według wyliczeń firmy atak kosztował ją blisko 250 milionów dolarów. Jest podawany jako przykład największej wpadki w dziedzinie bezpieczeństwa informacji w roku 2007.

Powyższe przykłady dotyczą tylko kilku najbardziej spektakularnych naruszeń bezpieczeństwa informacji spośród wielu, które dotknęły duże firmy w ciągu ostatnich lat. Statystyki ataków na sieci komputerowe, będące miejscem przechowywania i przepływu większości danych i informacji, wskazują, że liczba zagrożeń bardzo szybko rośnie. Jak wynika z badania CSI Computer Crime and Security Survey, przeprowadzonego wśród 494 amerykańskich menedżerów w 2007 roku, aż 88% firm doświadczyło co najmniej jednego incydentu związanego z bezpieczeństwem, z czego aż 32% zaznało ataków planowanych, wymierzonych w obrany cel. Rocznie przeciętna firma padła ofiarą 140 incydentów.

Brak adekwatnej reakcji

Przepływ informacji jest układem nerwowym dzisiejszego biznesu. Konsekwencje naruszenia tego przepływu – wycieku danych lub informacji czy utraty niezbędnej wiedzy (własności intelektualnej, tajemnicy handlowej i przemysłowej) – mogą być dla firmy bardzo dotkliwe. Badania prowadzone wśród menedżerów świadczą o tym, że zdają sobie oni sprawę z wagi bezpieczeństwa informacji. Respondenci, pochodzący z 410 europejskich firm, pytani podczas badania „Internal IT Threats In Europe 2006”, przeprowadzonego przez firmę InfoWatch, o swoje główne obawy związane z wyciekiem informacji, na pierwszym miejscu wymieniali kwestie bezpośrednio wpływające na konkurencyjność i przyszłość firmy, takie jak utrata dobrej reputacji (63% wskazań) czy utrata klientów (51% wskazań). Na dalszych miejscach wymieniali sankcje prawne, bezpośrednie straty finansowe czy wreszcie postępowania sądowe.

Zarządy częściej myślą o konieczności dostosowywania się do obowiązujących przepisów prawa niż o wpływie, jaki ma bezpieczeństwo informacji, na realizację celów biznesowych.

Niezależne Światowe Badanie Bezpieczeństwa Informacji prowadzi też od 10 lat firma Ernst & Young. Wnioski z badania publikowane są co roku w postaci raportów i prezentują zmiany w świadomości oraz w sposobie postępowania menedżerów na całym świecie. W roku 2005 raport z badania wskazywał, że rosnącej świadomości zagrożeń nie towarzyszą działania adekwatne do ich skali. Firmy miały już wówczas poczucie, że stają się w coraz większym stopniu podatne na wiele zagrożeń, wynikających zarówno z gwałtownych zmian zachodzących w środowisku biznesowym, jak i z wymogu konkurencyjności. Równocześnie jednak badania wskazywały wyraźnie, że działania podejmowane przez firmy w obszarze bezpieczeństwa informacji nie nadążają za tymi zmianami. A przecież bezpieczeństwo informacji ma decydujące znaczenie dla zdolności firm do zarządzania ryzykiem. Wśród czynników sprzyjających powiększaniu się dysproporcji między ryzykiem a podejmowanymi działaniami zapobiegawczymi wymieniano między innymi coraz większą globalną współzależność i nowe rozwiązania techniczne, wymuszone przez wymogi biznesowe. Badanie pokazało, że firmy zaczęły dostrzegać istotne zagrożenie dla bezpieczeństwa informacji ze strony nowych rozwiązań technicznych (laptopy, wymienne nośniki danych, sieci bezprzewodowe), a mimo to w ciągu roku tylko jedna firma na cztery planowała podjęcie jakichkolwiek działań zapobiegających tym zagrożeniom.

Śledząc wyniki badania w ciągu ostatnich trzech lat, dostrzegamy, że głównym bodźcem motywującym decydentów do podejmowania działań w obszarze bezpieczeństwa informacji są obowiązujące regulacje prawne. Na czynnik ten w 2007 roku wskazało 64% spośród 1300 ankietowanych menedżerów na całym świecie. Oznacza to, że zarządy częściej myślą o konieczności dostosowywania się do obowiązujących przepisów prawa niż o wpływie, jaki ma bezpieczeństwo informacji, na realizację celów biznesowych. Jednocześnie Ernst & Young sygnalizował, że podejmując wysiłki zmierzające do zapewnienia zgodności z przepisami prawa, przedsiębiorstwa nie wykorzystują tej okazji do poprawy ogólnego poziomu bezpieczeństwa i do rozwiązania problemów, które mogłyby zostać załatwione „przy okazji”, bez ponoszenia dodatkowych nakładów finansowych. Takie podejście sprawia, że uwaga osób zarządzających bezpieczeństwem informacji jest skoncentrowana na procedurach i wymogach prawnych, a nie na tym, które zasoby są rzeczywiście ważne dla biznesu i jak najskuteczniej je chronić.

Wyścig z czasem i technologią

Problem bezpieczeństwa z większą ostrością zaznaczył się w firmach w latach osiemdziesiątych. Pierwszą reakcją było opracowywanie i wdrażanie konkretnych rozwiązań technicznych (takich jak: techniki uwierzytelniania, polegające na ograniczaniu dostępu do danych, zabezpieczenia przed nieautoryzowanym dostępem z sieci zewnętrznej czy mechanizmy minimalizujące skutki awarii systemów informatycznych). Dlatego pierwszą falę zainteresowania problemem bezpieczeństwa informacji nazwano podejściem technicznym. Okazało się jednak, że firmy stosujące dostępne wówczas rozwiązania nie nadążały za zmianami technologicznymi i rosnącą liczbą nowych rodzajów ryzyka. Pojawiały się bowiem inne zagrożenia dla bezpieczeństwa informacji ze strony wymiennych nośników danych, laptopów, sieci bezprzewodowych, Internetu. Dotykają one również i dziś nawet największe firmy. Przykładem takich zagrożeń są wirusy i robaki komputerowe, których liczba wciąż rośnie – rok 2007 okazał się rekordowym, najbardziej „wirusowym” rokiem w historii, a firma Kaspersky Lab dodała do antywirusowych baz danych prawie tyle sygnatur (nowych wirusów), co w ciągu ostatnich 15 lat.

Wraz z upowszechnieniem się systemów informatycznych zrozumiano, że ochrona informacji to problem, którego nie rozwiążą zabezpieczenia techniczne takie jak zapora bezpieczeństwa (firewall) czy oprogramowanie antywirusowe. Dostrzeżono też, że bezpieczeństwo to nie jest wyłącznie kwestia techniczna, ale przede wszystkim – zarządcza. Największym źródłem zagrożeń, jakie czyhają na informacje, są bowiem ludzie. Okazało się, że informatyczne bazy danych są narażone nie tylko na ataki sabotażystów takich jak Timothy Lloyed, były szef programistów Omega Engineering, który odchodząc z firmy, zostawił w jej sieci program kasujący bez ostrzeżenia kluczowe dla organizacji dane. Straty oszacowano na 10 milionów dolarów. Zagrożeniem mogą być również uczciwi pracownicy, posiadający autoryzowany dostęp do systemów informacyjnych, ale podatni na różne chwyty inżynierii społecznej (social engineering), stosowane na przykład w wywiadzie gospodarczym w celu uzyskania niejawnych informacji o konkurencyjnej firmie. Najsłynniejszy dziś haker Kevin Mitnick mówił: „Łamałem ludzi, nie komputery”.

Uświadomienie sobie tego, jak kompleksowym wyzwaniem jest bezpieczeństwo informacji w firmie i jak dużą rolę w jego zapewnieniu odgrywają ludzie, doprowadziło do wykrystalizowania się zarządczego podejścia do bezpieczeństwa informacji. Badanie Ernst & Young pokazuje, że dziś 82% respondentów posiada scentralizowaną strukturę dedykowaną do zarządzania bezpieczeństwem informacji.

Podejście zarządcze miało wyeliminować powszechny brak dyscypliny w zapobieganiu zagrożeniom dzięki wykorzystaniu zarówno zaawansowanych technologicznie zabezpieczeń informatycznych, jak też rozwiązań organizacyjnych i proceduralnych. Był to ważny krok, sygnalizujący, że kwestie bezpieczeństwa informacji nie mają charakteru stricte technicznego, a przyjęcie takiego wąskiego spojrzenia naraża firmę na wymierne straty. Sama świadomość problemu nie gwarantuje bowiem jeszcze właściwych zachowań, czego dowodem są badania przeprowadzone w 2006 roku we Wrocławiu przez Fellowes Polska i Uniwersytet Wrocławski wśród 146 firm. Przeświadczenie o konieczności stosowania procedur ochrony danych i niszczenia zbędnych dokumentów okazało się dość powszechne wśród pracowników tych firm. W ślad za świadomością zagrożeń (choć ta jest bardzo istotna) nie poszły jednak odpowiednie działania. Zapobieganie upublicznieniu poufnych danych przez zabezpieczenie zbędnej dokumentacji – zawierającej na przykład wydruki z kont, listy płac, dane pracowników, klientów, oferty przetargowe – deklarowano w prawie 80% firm. Deklaracje te skonfrontowano później z zawartością koszy na śmieci. Okazało się, że aż 52% to dokumenty niezniszczone lub zniszczone niedostatecznie, z możliwością odczytania danych.

Z czasem stało się jasne, że również takie inicjatywy jak opracowanie polityki bezpieczeństwa oraz szczegółowych procedur są niewystarczające dla osiągnięcia wymaganego poziomu ochrony informacji, a tym samym również – ciągłości działania biznesu. Szefowie firm chcieli wiedzieć więcej: jak wypadają ich systemy na tle innych, chcieli również wykorzystywać sprawdzone i uporządkowane przez międzynarodowych specjalistów praktyki w dziedzinie bezpieczeństwa informacji.

Doprowadziło to do wykrystalizowania nowego podejścia do bezpieczeństwa informacji. Podejście to, zwane podejściem instytucjonalnym, kładzie nacisk na:

• standaryzację bezpieczeństwa systemów informatycznych oraz budowę i wdrożenie systemów zarządzania bezpieczeństwem informacji (Information Security Management System – ISMS) poprzez wykorzystanie uznanych norm i standardów, jak brytyjska BS 7799, jej następczyni – norma ISO/IEC 27001 – czy też COBIT (Control Objectives for Information and related Technology); dzięki standaryzacji uzyskujemy odpowiedź na ważne pytanie: „Jak mogę stwierdzić, czy w moim systemie bezpieczeństwa informacji czegoś nie brakuje?”

• certyfikację rozwiązań bezpieczeństwa, rozumianą jako niezależną ocenę przyjętych przez firmę rozwiązań i sposobów ich stosowania; umożliwia ona odpowiedź na pytanie: „Jak mogę udowodnić partnerom, że mój system bezpieczeństwa informacji jest odpowiednio przygotowany, by przeciwdziałać zagrożeniom?”

• kultywowanie kultury bezpieczeństwa informacji w obrębie firmy, czyli radzenie sobie z syndromem: „Moi pracownicy mogą być największym zagrożeniem”.

O upowszechnieniu się podejścia instytucjonalnego świadczy publikowanie nowych, bardziej specjalistycznych norm i standardów (jak np. brytyjska norma BS 25999, poświęcona zarządzaniu ciągłością działania) oraz wzrost liczby certyfikacji. Według szacunków International Register of ISMS Certificates w lutym 2003 roku certyfikaty zgodności z BS 7799‑2:2002 i jej następczynią, ISO/IEC 27001, miało tylko 60 podmiotów, a w marcu 2008 – już 4193, w tym 21 z Polski. Niestety, część firm traktuje taką certyfikację nie tylko jako dodatkowy element zwiększania poziomu bezpieczeństwa, ale jako cel sam w sobie, umożliwiający uspokojenie sumienia. Z kolei, jak podaje British Standards Institution, opublikowana w 2007 roku druga część normy BS 25999‑2, będąca specyfikacją procesu zarządzania ciągłością działania, była najszybciej sprzedającą się normą w ponadstuletniej historii tej instytucji.

Narastanie luki między skalą zagrożeń a systemami bezpieczeństwa

Bezpieczeństwo informacji: coraz większe wyzwanie dla współczesnej firmy

W zasadzie większość firm prezentuje obecnie klasyczne podejście instytucjonalne. Tymczasem wyniki badań nad bezpieczeństwem informacji pokazują, że taka orientacja jest niewystarczająca. Co gorsza, zagrożenia rosną wręcz lawinowo. Luka pomiędzy wymaganiami, jakie stawia biznes, a faktycznymi działaniami w obszarze bezpieczeństwa, podejmowanymi przez firmy, stale się powiększa. Stosowane obecnie przez większość firm rozwiązania doprowadzają do tego, że albo leczy się skutki już zaistniałych incydentów, albo dotyka się drażliwych kwestii wyrywkowo dopiero wówczas, gdy zagrożenia się materializują, nie ma natomiast systematycznej analizy przyczyn ani działań profilaktycznych. To podejście obnażają zwłaszcza nagłe awarie lub inne nieprzewidziane zdarzenia, zagrażające ciągłości funkcjonowania firmy, które zwykle stają się impulsem do podejmowanych ad hoc działań zapobiegawczych, takich jak kupno generatora prądu czy weryfikacja polityki wykonywania zapasowych kopii danych. Ostatnio mieliśmy okazję zaobserwować taką sytuację na początku kwietnia, podczas awarii sieci energetycznej w Szczecinie.

Ponadto pojawiają się nowe grupy przemyślanych ataków – phishing (pozyskiwanie poufnych informacji dzięki oszustwu), zorganizowany hacking, szpiegostwo informacyjne, przeprowadzane przez coraz bardziej zorganizowane i zaawansowane technicznie grupy przestępcze. Trudno będzie w najbliższych latach mówić, że bezpieczeństwo informacji nie ma istotnego znaczenia. Kiedyś postrzegane jako element generujący koszty, bez wpływu na budowanie przewagi konkurencyjnej firmy, dziś stało się kwestią newralgiczną, która nie tylko warunkuje osiągnięcie trwałej przewagi konkurencyjnej, ale również stanowi osłonę przed ogromnymi stratami finansowymi, a nawet – upadkiem firmy.

Część firm traktuje certyfikację nie tylko jako dodatkowy element zwiększania poziomu bezpieczeństwa, ale jako cel sam w sobie, umożliwiający uspokojenie sumienia.

Myślenie o bezpieczeństwie informacji sprowadza się dziś w gruncie rzeczy do myślenia o bezpieczeństwie biznesu. Nie ogranicza się tylko do zachowania poufności danych. Tak naprawdę definiowane jest przez ochronę istoty biznesu, jaki prowadzimy. Ryzyko minimalizowane przez program bezpieczeństwa informacji ma przecież wymierny wpływ na działalność biznesową. Jeżeli bank stanie w obliczu ryzyka braku dostępu właścicieli kont do ich środków pieniężnych, następuje paraliż jego działalności. Tak zdarzyło się na przykład w Eurobanku w 2005 roku, gdy padł system informatyczny banku. Do bezpieczeństwa informacji należy więc podchodzić kompleksowo, aby móc osiągać choćby tylko podstawowe cele biznesowe.

Zagrożenia pogłębia też coraz większe „usieciowienie” biznesu. Zakłócenie działania jednej firmy czy też jej bankructwo uruchamia efekt domina. Ryzyko współpracującej firmy staje się wtedy naszym. Może to zachwiać podstawową działalnością firmy. Wyniki ostatnich badań Ernst & Young potwierdzają, że przedsiębiorstwa przywiązują coraz większą wagę do prawidłowego ułożenia współpracy z podwykonawcami, firmami outsourcingowymi i partnerami handlowymi, dostrzegając duże źródło zagrożeń wynikających z niekontrolowanego rozszerzania współpracy oraz z polegania na mechanizmach zabezpieczania informacji, stosowanych przez te spółki. Coraz częściej już zawierane z nimi kontrakty regulują kwestie ochrony informacji i obligują partnerów do okresowej weryfikacji poziomu bezpieczeństwa przez niezależne podmioty zewnętrzne.

W kierunku strategicznego podejścia do bezpieczeństwa informacji

Narastanie luki między coraz większymi wyzwaniami w dziedzinie bezpieczeństwa informacji a metodami tradycyjnie stosowanymi przez firmy wymusza wypracowanie nowego podejścia – powiązania bezpieczeństwa informacji z efektywnością biznesu i jego celami strategicznymi. Zgodnie z tym podejściem, bezpieczeństwo informacji ma swój wymiar ekonomiczny i może być opłacalne. Na przykład – włamanie do systemu informatycznego firmy może spowodować przestój w produkcji. A to oznacza dla firmy koszty w postaci bezproduktywności pracowników, utraty korzyści ze sprzedaży niewyprodukowanych dóbr czy z nieobsłużonych klientów, którzy, co gorsza, mogą zwrócić się ku konkurencji. Dodatkowo po takim incydencie może okazać się konieczne przeprowadzenie nieplanowanych działań marketingowych.

Podejście strategiczne zakłada, że inicjatywy z obszaru bezpieczeństwa informacji muszą być powiązane i zintegrowane z celami biznesowymi. Ustalenie jasnych kryteriów oceny, wypływających z istoty naszego biznesu, powinno zapewniać właściwy nadzór nad działaniami i wyznaczać ramy decyzji z zakresu bezpieczeństwa informacji. Ani tradycyjne metody analizy ryzyka, ani standardy bezpieczeństwa informacji nie zapewnią nam takiej przejrzystości wobec nadrzędnych celów biznesowych oraz kompleksowej analizy zagrożeń.

Dziś na problem bezpieczeństwa danych należy spoglądać jako na element ładu korporacyjnego. Innowacyjne przedsiębiorstwa dostrzegają zalety ładu bezpieczeństwa informacyjnego (Information Security Governance). Ta czwarta fala zainteresowania bezpieczeństwem informacji zakłada, że jest ono w rzeczy samej kluczową kwestią zarządu. Nie neguje poprzednich działań. Nic bardziej mylnego. Uzupełnia je o nową logikę myślenia o bezpieczeństwie informacji. Profesor technologii informatycznych Basie von Solis z uniwersytetu w Johannseburgu twierdzi, że ład bezpieczeństwa informacyjnego to integralna część ładu korporacyjnego, na którą składają się:

• zaangażowanie menedżerów i liderów na poziomie zarządu oraz top managementu w zapewnienie odpowiedniego poziomu bezpieczeństwa informacji;

• właściwe struktury organizacyjne dla wzmacniania założonego poziomu bezpieczeństwa informacji;

• zaangażowanie i pełna świadomość pracowników co do wymaganego poziomu bezpieczeństwa informacji;

• konieczne procesy, technologie, polityka, procedury oraz mechanizmy zapewnienia zgodności z przyjętymi regułami i zasadami w obszarze bezpieczeństwa.

Bezpieczeństwo informacji należy zaś rozumieć jako systematyczne chronienie tych danych, które są najważniejsze z punktu widzenia ich wpływu na osiąganie celów biznesowych. Pętla działań składających się na zaangażowania kierownictwa w sprawę bezpieczeństwa informacji rozpoczyna się od potraktowania tego bezpieczeństwa jako strategicznego aspektu egzystencji firmy, a kończy się na poziomie operacyjnym. W ten sposób można wypracować tak pożądaną przez firmy zgodność z przepisami prawa, ale nie tylko. Osiągamy także poufność, integralność, dostępność informacji w obszarach istotnych z punktu widzenia dochodowości i ciągłości działalności przedsiębiorstwa. Nie należy bowiem zapominać, że – jak donosi US Labor Dept – aż 93% firm, które w wyniku katastrofy tracą dane, przestaje istnieć w ciągu 5 lat.

***

Menedżerowie stają dziś przed pytaniem, jaką systematyczną, spójną metodę można wykorzystać, wprowadzając kompleksowy ład bezpieczeństwa informacyjnego w firmie. W następnej części raportu omówimy metodykę SABSA (Sharewood Applied Business Security Architecture), która przekłada cele biznesowe firmy na kompleksowe działania z zakresu bezpieczeństwa. Zbliża język zarządu do języka technicznego przez tworzenie pomostu między ogólnym spojrzeniem na problem bezpieczeństwa informacji w firmie a szczegółami operacyjnymi. Pozwala zbudować architekturę bezpieczeństwa firmy albo – inaczej mówiąc – wbudować bezpieczeństwo informacji w działalność firmy zgodnie z jej celami.